近年來，Solarwinds供應(yīng)鏈攻擊、Colonial Pipeline勒索攻擊等一系列網(wǎng)絡(luò)安全事件頻發(fā)，持續(xù)校驗(yàn)各國包括關(guān)鍵基礎(chǔ)設(shè)施保護(hù)在內(nèi)的網(wǎng)絡(luò)安全保障體系的實(shí)施效能。如何進(jìn)一步加強(qiáng)對(duì)國家安全有重要影響的關(guān)鍵信息基礎(chǔ)設(shè)施領(lǐng)域的風(fēng)險(xiǎn)發(fā)現(xiàn)和防御能力，如何確保監(jiān)管部門及時(shí)掌握安全態(tài)勢，充分調(diào)動(dòng)國家力量共同消解網(wǎng)絡(luò)安全風(fēng)險(xiǎn)成為各國關(guān)注點(diǎn)。
近期，澳大利亞、美國、印度相繼通過立法或指令，從建立強(qiáng)制性的網(wǎng)絡(luò)安全事件報(bào)告義務(wù)入手，明確運(yùn)營者事件報(bào)告期限要求，提升國家的網(wǎng)絡(luò)安全態(tài)勢感知能力。
近期立法動(dòng)態(tài)
一、美國《2022年關(guān)鍵基礎(chǔ)設(shè)施事件報(bào)告法》
2022年3月15日，美國總統(tǒng)拜登簽署的《2022年綜合撥款法》（Consolidated Appropriations Act, 2022）中，正式通過《2022年關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)事件報(bào)告法》（Cyber Incident Reporting for Critical Infrastructure Act of 2022），要求關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域?qū)嶓w在有理由相信網(wǎng)絡(luò)事件發(fā)生后72小時(shí)內(nèi)，以及因勒索攻擊支付贖金后24小時(shí)內(nèi)，向網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）報(bào)告。
1. 誰需要報(bào)告？
事件報(bào)告義務(wù)適用于總統(tǒng)政策指令21（PDD-21）中定義的關(guān)鍵基礎(chǔ)設(shè)施部門的實(shí)體。PDD-21確定了16個(gè)關(guān)鍵基礎(chǔ)設(shè)施行業(yè)，包括：化工、商業(yè)設(shè)施、通信、關(guān)鍵制造、水利、國防工業(yè)基地、應(yīng)急服務(wù)、能源、金融服務(wù)、食品和農(nóng)業(yè)、政府設(shè)施、醫(yī)療保健和公共衛(wèi)生、信息技術(shù)、核反應(yīng)堆、材料和廢棄物、交通系統(tǒng)、供水和廢水系統(tǒng)。在CISA制定的最終規(guī)則中將進(jìn)一步明確所包含的實(shí)體類型。
實(shí)體可以通過第三方，如事件響應(yīng)公司、保險(xiǎn)商或服務(wù)提供商來提交事件報(bào)告，但這并不免除實(shí)體本身的報(bào)告義務(wù)。
2. 什么情況下需要報(bào)告？
該法規(guī)定三種報(bào)告情形：
?。?）實(shí)體應(yīng)在有合理理由相信網(wǎng)絡(luò)事件已經(jīng)發(fā)生后的72小時(shí)內(nèi)報(bào)告；
?。?）實(shí)體應(yīng)在遭受勒索攻擊而支付贖金后24小時(shí)內(nèi)報(bào)告。即使該勒索攻擊不屬于本法管轄的網(wǎng)絡(luò)事件也應(yīng)履行報(bào)告義務(wù)；
?。?）若有實(shí)質(zhì)性新的或不同的信息，或者實(shí)體依本法報(bào)告網(wǎng)絡(luò)事件后支付了勒索贖金，應(yīng)及時(shí)向CISA提交更新或補(bǔ)充報(bào)告，直到該實(shí)體通知CISA事件已結(jié)束并得到完全緩解和恢復(fù)。
該法對(duì)“網(wǎng)絡(luò)事件”的定義援用2002年《國土安全法》的現(xiàn)有定義，即“在沒有合法授權(quán)的情況下，實(shí)際或即將危及網(wǎng)絡(luò)信息完整性、機(jī)密性或可用性的事件”。只有構(gòu)成“重大網(wǎng)絡(luò)事件”才需要進(jìn)行報(bào)告，在CISA制定的最終規(guī)則中將進(jìn)一步明確“重大網(wǎng)絡(luò)事件”類型。
3. 向誰報(bào)告？
向CISA報(bào)告。
收到實(shí)體的報(bào)告后，CISA將立即審查該報(bào)告，以確定該網(wǎng)絡(luò)事件是否與持續(xù)的網(wǎng)絡(luò)威脅或安全漏洞有關(guān)。如有關(guān)，將使用該信息來識(shí)別風(fēng)險(xiǎn)，并迅速向利益相關(guān)者傳播網(wǎng)絡(luò)威脅指標(biāo)和可行的防御措施。
4. 需報(bào)告哪些信息？
報(bào)告網(wǎng)絡(luò)事件，需提交下列信息：
（1）對(duì)事件的描述。包括識(shí)別和描述受影響的信息系統(tǒng)、網(wǎng)絡(luò)和設(shè)備的功能；對(duì)未經(jīng)授權(quán)的訪問進(jìn)行描述，是否對(duì)受影響信息系統(tǒng)或網(wǎng)絡(luò)的機(jī)密性、完整性或可用性造成重大損失，或?qū)ι虡I(yè)或工業(yè)運(yùn)營造成中斷；該事件預(yù)計(jì)的發(fā)生日期；以及對(duì)實(shí)體的影響；
?。?）描述被利用的漏洞和已采取的安全防御措施，以及網(wǎng)絡(luò)事件所采取的戰(zhàn)術(shù)、技術(shù)和程序（如有）；
?。?）有合理理由相信應(yīng)對(duì)該事件負(fù)責(zé)的每個(gè)行為者的識(shí)別信息或聯(lián)系信息（如有）；
?。?）曾經(jīng)或有合理理由相信已經(jīng)被訪問或獲取的一類或多類信息（如有）；
?。?）受影響實(shí)體的名稱和其他信息；
?。?）聯(lián)系方式，以及實(shí)體的服務(wù)供應(yīng)商（如有）。
報(bào)告勒索攻擊，需提交下列信息：
?。?）對(duì)勒索攻擊的描述，包括預(yù)估的攻擊發(fā)生時(shí)間；
?。?）描述用于實(shí)施勒索攻擊的漏洞、戰(zhàn)術(shù)、技術(shù)和程序（如有）；
（3）有合理理由相信應(yīng)對(duì)該事件負(fù)責(zé)的每個(gè)行為者的識(shí)別信息或聯(lián)系信息（如有）；
?。?）清楚描述支付贖金或代為支付贖金的實(shí)體名稱和其他信息；
?。?）聯(lián)系方式，以及實(shí)體的服務(wù)供應(yīng)商（如有）；
?。?）支付贖金的日期；
?。?）贖金支付要求，包括所要求的虛擬貨幣或其他類型（如有）；
?。?）贖金支付指示，包括有關(guān)支付地點(diǎn)的信息，如要求將贖金發(fā)送到的虛擬貨幣地址或物理地址（如有）；
?。?）贖金金額。
5. 未遵守報(bào)告要求的后續(xù)措施
?。?）如果CISA有理由相信，無論是通過公開報(bào)告還是聯(lián)邦政府掌握的其他信息，實(shí)體發(fā)生了本法所管轄的網(wǎng)絡(luò)安全事件或支付了勒索贖金，但未按照本法要求進(jìn)行報(bào)告的，CISA主管可要求實(shí)體提供額外信息；
（2）在CISA主任要求提供額外信息之日起72小時(shí)內(nèi)，若沒有收到回應(yīng)或回應(yīng)不充分，CISA主任可以向該實(shí)體發(fā)出傳票，強(qiáng)制要求實(shí)體披露相關(guān)信息，并評(píng)估此網(wǎng)絡(luò)事件對(duì)國家安全、經(jīng)濟(jì)安全、公共健康等的潛在影響；
?。?）若實(shí)體不遵守傳票要求，CISA主任可將該情況提交司法部長，在美國地方法院提起民事訴訟，以執(zhí)行傳票；
?。?）法院可將實(shí)體不遵守傳票的行為裁定為藐視法庭罪，予以處罰。
此外，如果CISA根據(jù)傳票所提供的信息認(rèn)定網(wǎng)絡(luò)事件或贖金支付有關(guān)的事實(shí)可能構(gòu)成監(jiān)管執(zhí)法行動(dòng)或刑事檢控的理由，CISA可向司法部長或相關(guān)聯(lián)邦監(jiān)管機(jī)構(gòu)負(fù)責(zé)人提供此類信息，后者可將此類信息用于監(jiān)管執(zhí)法行動(dòng)或刑事起訴。
6. 其他規(guī)定
實(shí)體還必須根據(jù)CISA發(fā)布的規(guī)則，留存與該法所規(guī)定的網(wǎng)絡(luò)事件和贖金支付有關(guān)的信息。
CISA有24個(gè)月的時(shí)間來發(fā)布擬議的規(guī)則制定通知，之后有18個(gè)月的時(shí)間來發(fā)布最終規(guī)則。該法要求的事件報(bào)告義務(wù)根據(jù)最終規(guī)則中規(guī)定的時(shí)間生效。
二、澳大利亞《2021年安全立法修正案（關(guān)鍵基礎(chǔ)設(shè)施）法》
2021年12月2日，澳大利亞《2021年安全立法修正案（關(guān)鍵基礎(chǔ)設(shè)施）法》（Security Legislation Amendment（Critical Infrastructure） Act 2021，簡稱SLACI法）正式通過。修正案對(duì)《2018年關(guān)鍵基礎(chǔ)設(shè)施安全法》（SOCI法）進(jìn)行修訂，提出強(qiáng)制性的網(wǎng)絡(luò)安全事件報(bào)告義務(wù)。
1. 誰需要報(bào)告？
關(guān)鍵基礎(chǔ)設(shè)施資產(chǎn)的負(fù)責(zé)實(shí)體。
關(guān)鍵基礎(chǔ)設(shè)施資產(chǎn)包括：關(guān)鍵廣播資產(chǎn)、關(guān)鍵域名系統(tǒng)、關(guān)鍵數(shù)據(jù)存儲(chǔ)或處理資產(chǎn)、關(guān)鍵銀行資產(chǎn)、關(guān)鍵養(yǎng)老金資產(chǎn)、關(guān)鍵保險(xiǎn)資產(chǎn)、 關(guān)鍵金融市場基礎(chǔ)設(shè)施資產(chǎn)、關(guān)鍵食品和雜貨資產(chǎn)、關(guān)鍵醫(yī)院、關(guān)鍵教育資產(chǎn)、關(guān)鍵貨運(yùn)基礎(chǔ)設(shè)施資產(chǎn)、關(guān)鍵貨運(yùn)服務(wù)資產(chǎn)、關(guān)鍵公共交通資產(chǎn)、關(guān)鍵液體燃料資產(chǎn)、關(guān)鍵能源市場運(yùn)營商資產(chǎn)、關(guān)鍵港口、關(guān)鍵電力資產(chǎn)、關(guān)鍵天然氣資產(chǎn)、關(guān)鍵水資產(chǎn)、關(guān)鍵航空資產(chǎn)。
2. 什么情況下需要報(bào)告？
該法規(guī)定了兩種報(bào)告情況：
?。?）實(shí)體意識(shí)到網(wǎng)絡(luò)安全事件已經(jīng)或正在發(fā)生，并已經(jīng)或正在對(duì)關(guān)鍵基礎(chǔ)設(shè)施資產(chǎn)可用性產(chǎn)生“重大影響”（包括直接和間接影響）的，應(yīng)在12個(gè)小時(shí)內(nèi)報(bào)告該事件及相關(guān)信息。
關(guān)鍵基礎(chǔ)設(shè)施資產(chǎn)用于提供基本商品或服務(wù)，并且事件嚴(yán)重?cái)_亂基本商品和服務(wù)的供應(yīng)時(shí)，構(gòu)成“重大影響”?？梢砸钥陬^或者書面形式報(bào)告。如果是口頭報(bào)告，則在第一次報(bào)告后84小時(shí)內(nèi)提交進(jìn)一步的書面報(bào)告。
?。?）實(shí)體意識(shí)到網(wǎng)絡(luò)安全事件已經(jīng)或正在發(fā)生，并已經(jīng)、正在或可能對(duì)關(guān)鍵基礎(chǔ)設(shè)施資產(chǎn)產(chǎn)生“相關(guān)影響”的，應(yīng)在72個(gè)小時(shí)內(nèi)報(bào)告該事件及相關(guān)信息。
對(duì)資產(chǎn)可用性、完整性、可靠性或機(jī)密性造成的影響屬于“相關(guān)影響”?？梢砸钥陬^或者書面形式報(bào)告。如果是口頭報(bào)告，則在第一次報(bào)告后48小時(shí)內(nèi)提交進(jìn)一步的書面報(bào)告。
“網(wǎng)絡(luò)安全事件”指的是涉及以下一項(xiàng)或多項(xiàng)內(nèi)容：（1）未經(jīng)授權(quán)訪問或修改計(jì)算機(jī)數(shù)據(jù)或計(jì)算機(jī)程序；（2）未經(jīng)授權(quán)損壞電子通訊;或（3）未經(jīng)授權(quán)損害計(jì)算機(jī)數(shù)據(jù)、計(jì)算機(jī)程序或計(jì)算機(jī)的可用性、可靠性、安全性或運(yùn)行。
3. 向誰報(bào)告？
向澳大利亞網(wǎng)絡(luò)安全中心（ACSC）報(bào)告。
4. 需報(bào)告哪些信息？
需要提交下列信息：（1）聯(lián)絡(luò)點(diǎn)信息；（2）機(jī)構(gòu)信息（包括澳大利亞商業(yè)號(hào)碼）；（3）關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域；（4）事件確定的日期和時(shí)間，以及事件是否正在進(jìn)行；（5）確認(rèn)該事件是否對(duì)資產(chǎn)產(chǎn)生重大影響；（6）細(xì)節(jié)信息，如事件是如何被發(fā)現(xiàn)的、事件性質(zhì)（如是否是勒索攻擊或DOS攻擊）、事件是否對(duì)信息技術(shù)、運(yùn)營技術(shù)或消費(fèi)者數(shù)據(jù)造成影響、以及事件是否在其他地方被報(bào)道過等。
提交信息后，實(shí)體將收到一份來自ACSC的報(bào)告收據(jù)，將包括一個(gè)唯一的報(bào)告編號(hào)。根據(jù)事件的性質(zhì)，ACSC可能會(huì)與實(shí)體聯(lián)系，以提供協(xié)助或獲取事件其他信息，以供事件響應(yīng)和網(wǎng)絡(luò)威脅信息之用。在事件發(fā)生后，內(nèi)政部也可能會(huì)與實(shí)體聯(lián)系，索取有關(guān)事件的額外資料，以作規(guī)管之用。
5. 法律責(zé)任
違規(guī)可能導(dǎo)致最高50個(gè)罰款單位（目前為11,100 澳元）罰款。
6. 其他規(guī)定
立法還為澳大利亞政府規(guī)定了額外的權(quán)力，澳大利亞政府認(rèn)為這些權(quán)力對(duì)于維護(hù)澳大利亞關(guān)鍵基礎(chǔ)設(shè)施安全至關(guān)重要。從2021年12 月起，政府可以行使以下權(quán)力來應(yīng)對(duì)影響關(guān)鍵基礎(chǔ)設(shè)施資產(chǎn)的網(wǎng)絡(luò)安全事件：
（1）信息收集——要求實(shí)體提供與網(wǎng)絡(luò)安全事件相關(guān)的信息；
（2）行動(dòng)指示——如果實(shí)體不愿意或無法解決網(wǎng)絡(luò)安全事件，內(nèi)政部長可以指示實(shí)體采取或不采取任何被認(rèn)為合理必要、相稱且技術(shù)上可行的行動(dòng)，以應(yīng)對(duì)網(wǎng)絡(luò)安全事件；
?。?）干預(yù)請(qǐng)求——為澳大利亞信號(hào)局提供“最后手段”的權(quán)力，可以在實(shí)體不愿或無法解決網(wǎng)絡(luò)安全事件的情況下控制資產(chǎn)（take control of an asset）。
三、印度計(jì)算機(jī)應(yīng)急響應(yīng)小組指令
2022年4月28日，印度的計(jì)算機(jī)應(yīng)急響應(yīng)小組（CERT-In）發(fā)布《關(guān)于<2000年信息技術(shù)法>第70B條第（6）款，可信網(wǎng)絡(luò)的信息安全實(shí)踐、程序、預(yù)防、響應(yīng)和網(wǎng)絡(luò)安全事件報(bào)告指令》（Directions under sub-section （6） of section 70B of the Information Technology Act, 2000 relating to information security practices, procedure, prevention, response and reporting of cyber incidents for Safe & Trusted Internet），要求組織在6小時(shí)內(nèi)向CERT-In報(bào)告網(wǎng)絡(luò)安全事件。該指令中的措施和規(guī)定將納入《2000年信息技術(shù)法》第70B條，因此構(gòu)成印度立法的一部分，將在60天內(nèi)生效。
1. 誰需要報(bào)告？
服務(wù)提供商、中介機(jī)構(gòu)、數(shù)據(jù)中心、法人團(tuán)體和政府機(jī)構(gòu)。
2. 什么情況下需要報(bào)告？
服務(wù)提供商、中介機(jī)構(gòu)、數(shù)據(jù)中心、法人團(tuán)體和政府機(jī)構(gòu)應(yīng)當(dāng)在發(fā)現(xiàn)或被告知發(fā)生網(wǎng)絡(luò)安全事件后6小時(shí)內(nèi)向CERT-In報(bào)告。
指令明確20類應(yīng)當(dāng)報(bào)告的網(wǎng)絡(luò)安全事件類型，包括：
(1) 關(guān)鍵網(wǎng)絡(luò)/系統(tǒng)的定向掃描/探測；
(2) 對(duì)關(guān)鍵系統(tǒng)/信息造成威脅；
(3) 未經(jīng)授權(quán)訪問IT系統(tǒng)/數(shù)據(jù)；
(4) 網(wǎng)站篡改、入侵網(wǎng)站并進(jìn)行未經(jīng)授權(quán)的更改，如嵌入惡意代碼、鏈接到外部網(wǎng)站等；
(5) 惡意代碼攻擊，例如傳播病毒/蠕蟲/木馬/機(jī)器人/間諜軟件/勒索軟件/加密礦工；
(6) 攻擊數(shù)據(jù)庫、郵件和DNS等服務(wù)器以及路由器等網(wǎng)絡(luò)設(shè)備；
(7) 身份盜用、欺騙和網(wǎng)絡(luò)釣魚攻擊；
(8) 拒絕服務(wù)（DoS）和分布式拒絕服務(wù)（DDoS）攻擊；
(9) 攻擊關(guān)鍵基礎(chǔ)設(shè)施、SCADA和運(yùn)營技術(shù)系統(tǒng)以及無線網(wǎng)絡(luò)；
(10) 攻擊電子政務(wù)、電子商務(wù)等應(yīng)用程序；
(11) 數(shù)據(jù)入侵（Data Breach）；
(12) 數(shù)據(jù)泄露（Data Leak）；
(13) 攻擊物聯(lián)網(wǎng)設(shè)備和相關(guān)系統(tǒng)、網(wǎng)絡(luò)、軟件、服務(wù)器；
(14) 影響數(shù)字支付系統(tǒng)的攻擊或事件；
(15) 通過惡意移動(dòng)應(yīng)用程序（APP）進(jìn)行的攻擊；
(16) 虛假手機(jī)應(yīng)用程序；
(17) 未經(jīng)授權(quán)訪問社交媒體帳戶；
(18) 影響云計(jì)算系統(tǒng)/服務(wù)器/軟件/應(yīng)用程序的攻擊或惡意/可疑活動(dòng)；
(19) 影響與大數(shù)據(jù)、區(qū)塊鏈、虛擬資產(chǎn)、虛擬資產(chǎn)交易所、托管錢包、機(jī)器人、3D和4D打印、增材制造和無人機(jī)相關(guān)的系統(tǒng)/服務(wù)器/網(wǎng)絡(luò)/軟件/應(yīng)用程序的攻擊或惡意/可疑活動(dòng)；
(20) 影響與人工智能和機(jī)器學(xué)習(xí)相關(guān)的系統(tǒng)/服務(wù)器/網(wǎng)絡(luò)/軟件/應(yīng)用程序的攻擊或惡意/可疑活動(dòng)。
3. 向誰報(bào)告？
向CERT-In報(bào)告。
根據(jù)《2000年信息技術(shù)法》，CERT-In承擔(dān)著以下職能：（1）收集、分析和傳播網(wǎng)絡(luò)事件相關(guān)信息；（2）預(yù)測和預(yù)警網(wǎng)絡(luò)安全事件；（3）采取網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)措施；（4）協(xié)調(diào)網(wǎng)絡(luò)事件響應(yīng)活動(dòng)；（5）發(fā)布信息安全實(shí)踐、程序、預(yù)防、相應(yīng)和網(wǎng)絡(luò)事件報(bào)告相關(guān)的指南、建議、漏洞說明和白皮書等。
4. 其他規(guī)定
當(dāng)接到CERT-In的命令或指示，以進(jìn)行網(wǎng)絡(luò)事件響應(yīng)或預(yù)防行動(dòng)時(shí)，實(shí)體必須采取行動(dòng)，或者向CERT-In提供信息或其他援助。命令或指示可能包括所需信息的格式（可能包括實(shí)時(shí)信息），并指定提交信息的時(shí)間，實(shí)體應(yīng)按照這些要求將信息提供給CERT-In，否則將被視為不遵守該指令。上述實(shí)體應(yīng)指定一個(gè)聯(lián)絡(luò)點(diǎn)，與CERT-In對(duì)接。
實(shí)體應(yīng)連接到國家信息中心（NIC）或國家物理實(shí)驗(yàn)室（NPL）的網(wǎng)絡(luò)時(shí)間協(xié)議（NTP）服務(wù)器，或與可連接到NTP服務(wù)器的其他服務(wù)器相連，以同步其所有ICT系統(tǒng)時(shí)鐘。擁有跨越多個(gè)地區(qū)ICT基礎(chǔ)設(shè)施的實(shí)體也可以使用除NPL和NIC以外的準(zhǔn)確和標(biāo)準(zhǔn)的時(shí)間源，但要確保其時(shí)間源不會(huì)偏離NPL和NIC。
實(shí)體的所有ICT系統(tǒng)日志必須在印度管轄范圍內(nèi)安全保留180天，并應(yīng)與安全事件報(bào)告一起或在機(jī)構(gòu)要求時(shí)提供給CERT-In。
指令還對(duì)部分特殊主體的數(shù)據(jù)留存義務(wù)提出要求。包括（1）數(shù)據(jù)中心、虛擬專用服務(wù)器（VPS）提供商、云服務(wù)提供商、虛擬專用網(wǎng)絡(luò)（VPN）提供商，應(yīng)登記下列準(zhǔn)確信息，這些信息必須在用戶注銷或撤銷登記(視情況而定)后繼續(xù)保存5年或更長時(shí)間(法律規(guī)定的期限)：訂閱戶/客戶的有效名稱、租用服務(wù)的期限、分配給用戶的IPs、注冊(cè)或登錄的郵箱地址/IP地址/使用服務(wù)的時(shí)間戳、租用服務(wù)的目的、經(jīng)驗(yàn)證的地址和聯(lián)系電話、訂閱戶/客戶租用服務(wù)的所有權(quán)模式；（2）虛擬資產(chǎn)服務(wù)提供商、虛擬資產(chǎn)交易提供商和托管錢包提供商應(yīng)維護(hù)“了解你的客戶”中獲取的所有信息和金融交易記錄。其中，交易記錄應(yīng)以準(zhǔn)確的方式保存包括但不限于相關(guān)方識(shí)別信息、IP地址、時(shí)間戳、時(shí)區(qū)、交易ID、公鑰（或等效標(biāo)識(shí)符）、涉及的地址或賬戶（或等效標(biāo)識(shí)符）、交易性質(zhì)、交易日期、交易金額。
簡評(píng)
美國、澳大利亞、印度近期的相關(guān)立法動(dòng)向呈現(xiàn)出一定特點(diǎn)：（1）給出明確的事件報(bào)告時(shí)間要求，要求在規(guī)定期限內(nèi)盡可能快地向指定部門報(bào)告。具體來說，印度對(duì)于時(shí)間要求最為緊迫，要求在6小時(shí)內(nèi)報(bào)告，美國要求發(fā)生網(wǎng)絡(luò)安全事件后72小時(shí)或因勒索攻擊支付贖金后24小時(shí)內(nèi)，澳大利亞要求對(duì)關(guān)鍵基礎(chǔ)設(shè)施資產(chǎn)產(chǎn)生“重大影響”的應(yīng)在12小時(shí)內(nèi)，產(chǎn)生“其他影響”的在72小時(shí)內(nèi)報(bào)告；（2）通過法律責(zé)任或后續(xù)行動(dòng)，賦予事件報(bào)告要求一定的強(qiáng)制性。美國關(guān)鍵基礎(chǔ)設(shè)施運(yùn)營者未按照要求報(bào)告事件的，CISA主任可以對(duì)實(shí)體發(fā)出傳票、提起民事訴訟，運(yùn)營者甚至可能構(gòu)成藐視法庭罪。澳大利亞主要通過罰款進(jìn)行處罰；（3）賦予指定部門一定的事件處置干預(yù)能力。澳大利亞規(guī)定，如果實(shí)體不愿或無法解決網(wǎng)絡(luò)安全事件，澳大利亞信號(hào)局可以采取“最后手段”，控制關(guān)鍵基礎(chǔ)設(shè)施資產(chǎn)。
在我國現(xiàn)有立法中，《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》等法律法規(guī)中也規(guī)定了報(bào)告義務(wù)及相應(yīng)的法律責(zé)任。其中，《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》要求“按照規(guī)定”報(bào)告網(wǎng)絡(luò)/數(shù)據(jù)安全事件，并未直接給出細(xì)化要求。《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》要求“對(duì)計(jì)算機(jī)信息系統(tǒng)中發(fā)生的案件，有關(guān)使用單位應(yīng)當(dāng)在24小時(shí)內(nèi)向當(dāng)?shù)乜h級(jí)以上人民政府公安機(jī)關(guān)報(bào)告”。此外，在部分行業(yè)規(guī)定中，如證監(jiān)會(huì)發(fā)布的《證券期貨業(yè)網(wǎng)絡(luò)安全事件報(bào)告與調(diào)查處理辦法》，要求“核心機(jī)構(gòu)和經(jīng)營機(jī)構(gòu)網(wǎng)絡(luò)和信息系統(tǒng)發(fā)生故障，可能構(gòu)成網(wǎng)絡(luò)安全事件的，應(yīng)當(dāng)立即報(bào)告?？赡軜?gòu)成特別重大、重大網(wǎng)絡(luò)安全事件的，應(yīng)當(dāng)每隔30分鐘至少上報(bào)一次事件處置情況，直至系統(tǒng)恢復(fù)正常運(yùn)行...”在我國網(wǎng)絡(luò)安全形勢依舊嚴(yán)峻，仍然是網(wǎng)絡(luò)攻擊主要受害國之一的背景下，近期國外相關(guān)立法動(dòng)向可為我國研究修訂《網(wǎng)絡(luò)安全法》、進(jìn)一步明確“有關(guān)規(guī)定”、細(xì)化事件報(bào)告制度、量化制度要求提供參考。